智能合约攻击向量

本仓库的目标是汇集所有可能的智能合约漏洞以及相应的学习资源。

欢迎随时提交 pull request，无论是小修复，还是您想添加的文档或工具。

安全漏洞列表

• 访问控制
  • 使用 tx.origin 进行身份验证
  • 默认可见性
  • 签名验证
  • 未受保护的 Ether 提取
  • 未受保护的 SELFDESTRUCT 指令
  • 遗漏的修饰器
  • 不正确的修饰器名称
  • 权限过大的角色
• 低级调用的账户存在性检查
• 使用函数变量的任意跳转
• 断言违例
• 绕过合约大小检查
• 无效果的代码
• 复杂修饰器
• 拒绝服务（DOS）
  • 意外回滚
  • 区块 Gas 上限
  • 无 Gas 补贴的外部调用
• 脏的高阶位
• 熵错觉 / 不安全的随机性
• 实验性语言特性
• 外部合约引用
• 闪电贷攻击
• 浮点运算
• 前端（链下）攻击_Attacks.md>)
  • 短地址攻击_Attacks.md/>)
• 强制馈送
• 函数选择器滥用
• Griefing 攻击
• 隐藏恶意代码
• 历史攻击
  • 构造函数名称
  • 调用深度攻击
  • Solidity ABI 编码器 v2 漏洞
• 不正确的数组删除
• 不正确的接口
• Gas 不足攻击
• 整数运算
• 遍历长数组的循环
• 使用硬编码 Gas 数量的消息调用
• 矿工攻击
  • 交易排序 / 抢跑
  • 时间戳操纵
• 离线所有者
• 预言机操纵
• 过时的编译器
• 可支付的 Multicall
• 计算中的精度损失
• 隐私错觉
• 代理存储冲突
• 重入
• 从右到左覆盖控制字符（U+202E）.md>)
• 三明治攻击
• 签名重放
• 未检查的外部调用
• 未初始化的存储指针